La fédération de tennis de table confirme une nouvelle fuite, un pirate dit vendre 1,6 million de fiches

Le 5 novembre, peu après 14 heures, une annonce apparaît sur un forum cybercriminel. Son auteur, qui se fait appeler ChimeraZ selon le site Cyberattaque.org, met en vente une base de données attribuée à la Fédération française de tennis de table (FFTT). Il revendique 2 220 815 lignes portant sur 1 645 606 personnes, 9,3 Go de données et environ 42 800 fichiers, dont 1 864 pièces d'identité et 383 justificatifs de domicile.

Aucun de ces chiffres n'est vérifié. La fédération n'a pas confirmé publiquement le piratage : au 6 novembre, aucune communication sur le sujet ne figure parmi les actualités de son site. Deux sites de suivi des fuites, Cyberattaque.org et Fuites Infos, ont en revanche analysé l'échantillon diffusé par le vendeur.

Des mineurs et des certificats médicaux dans l'échantillon

L'échantillon compte 925 fiches exploitables. On y trouve l'identité, la date de naissance, l'adresse postale, le téléphone et l'adresse e-mail, ainsi que le numéro de licence, le club, la catégorie et le classement. Selon Cyberattaque.org, 430 fiches mentionnent le nom et le numéro d'inscription d'un médecin avec les dates d'un certificat médical, et 392 contiennent un champ lié à un questionnaire médical. Rien n'indique en revanche la présence de diagnostics. Le site relève aussi 42 fiches de personnes qui seraient encore mineures aujourd'hui. Il n'a trouvé ni mot de passe ni coordonnées bancaires dans cet extrait.

Les pièces d'identité et les justificatifs annoncés, eux, sont absents de l'échantillon, souligne Fuites Infos. Leur existence reste donc à démontrer.

Une fuite de 2025 qui refait surface ?

La FFTT a déjà été piratée. En septembre 2025, elle avait reconnu une cyberattaque : un compte compromis avait permis de récupérer en masse des informations de sa base de licenciés. Étaient notamment concernés le numéro de licence, le nom, le prénom, le sexe, la date et le lieu de naissance, la nationalité, l'adresse, l'e-mail et le téléphone. La fédération assurait alors qu'« aucune donnée concernant des coordonnées bancaires ou des données de santé » n'avait été atteinte. Elle avait porté plainte et prévenu la CNIL et l'ANSSI.

Le nouvel échantillon brouille les pistes. Selon Fuites Infos comme selon Cyberattaque.org, certaines fiches ont été modifiées jusqu'au 11 octobre 2025. Cette date est postérieure de quelques semaines au communiqué de la fédération. Aucun des deux sites ne conclut à une nouvelle intrusion. S'agit-il des données de 2025, d'une extraction plus tardive ou d'un assemblage ? Seule la fédération peut le dire. Elle ne serait pas la première fédération sportive visée : celles de voile et de tir ont confirmé des vols de données en octobre.

Les bons réflexes pour les licenciés, actuels et anciens

Avec ce type de fichier, le principal risque est l'arnaque personnalisée. Un message qui connaît votre club, votre numéro de licence ou la date de votre certificat inspire facilement confiance.

• Méfiez-vous des e-mails, SMS et appels qui se réclament de la FFTT, de votre club, de l'Assurance maladie ou d'une mutuelle. Connectez-vous uniquement par le site ou l'application officiels.
• Ne communiquez jamais un code reçu par SMS, un mot de passe ou vos coordonnées bancaires.
• Changez votre mot de passe FFTT, ainsi que partout où vous l'avez réutilisé, et activez la double authentification quand elle existe.
• Prévenez les enfants licenciés : un message qui cite leur club ou leur catégorie ne prouve pas qu'il est authentique.
• En cas d'usurpation d'identité, portez plainte et faites-vous aider par cybermalveillance.gouv.fr.

La suite dépend maintenant de la FFTT : confirmer ou démentir, et dire d'où viennent ces fiches.

Mise à jour du 12 novembre 2026

Le 5 novembre, un vendeur se faisant appeler ChimeraZ avait mis en vente sur un forum cybercriminel une base attribuée à la Fédération française de tennis de table (FFTT), qui concernerait selon lui 1,6 million de personnes. Dans un communiqué publié sur son site et relayé le 9 novembre par Fuites Infos et FrenchBreaches, la fédération confirme une nouvelle intrusion, distincte de la cyberattaque de septembre 2025. Certaines fiches portent en effet des dates « allant jusqu'au 11 octobre 2025, soit après la cyberattaque de septembre 2025 ». Comme en septembre 2025, un compte compromis a permis de récupérer en masse des informations de la base des licenciés. La FFTT ne dit pas combien de personnes sont concernées.

Selon la fédération, les données touchées sont le numéro de licence, le nom, le prénom, le genre, la date et le lieu de naissance, la nationalité, l'adresse postale, l'e-mail et le téléphone. S'y ajoutent des métadonnées de certificats médicaux : nom et numéro d'ordre du médecin, date du certificat, informations sur l'auto-questionnaire de santé. La divulgation de leur contenu intégral n'est en revanche pas confirmée, précise-t-elle. Des copies de cartes d'identité, de passeports et de justificatifs de domicile ou professionnels, notamment ceux fournis lors des mutations, seraient aussi concernées. Sur ce point, la FFTT reprend la revendication du pirate : « la présence effective de l'ensemble de ces documents dans l'archive complète n'a pas pu être vérifiée ». Aucun mot de passe ni donnée bancaire n'a été trouvé dans l'échantillon examiné.

La fédération a porté plainte et informé la Commission nationale de l'informatique et des libertés (CNIL) et l'Agence nationale de la sécurité des systèmes d'information (ANSSI). Elle conseille aux licenciés de changer le mot de passe de leur espace SPID, l'outil en ligne de la fédération, et de se méfier des messages qui se réclament d'elle. Les questions peuvent être adressées à cyber@fftt.org. De son côté, FrenchBreaches dit avoir alerté la FFTT dès le 27 octobre. Selon le site, la fédération avait alors indiqué avoir identifié un compte de licencié compromis et une faille liée à une API (interface de programmation), en reconnaissant que la vulnérabilité « pouvait encore être exploitée à partir d'un autre compte compromis ». Le communiqué officiel ne mentionne pas cette faille.